SSL/TLS에 대하여

넷스케이프가 만든 신뢰연결을 위한 SSL/TLS에 대한 설명입니다.

 

종단-대-종단의 안전한 통신을 위해 설계되었으며, 인증 및 암호화 기능을 가집니다.(공개키 암호화 방식)

웹 브라우저와 웹 서버간에 서로를 확인하는 기능이 있습니다.

데이터 무결성을 검사할 때는 일방향 해쉬 함수를 사용하여 검증합니다.

 

SSL/TLS 를 겨냥한 취약점을 이용한 공격이 몇가지 있는데, BEAST 공격과 CRIME Attack 입니다.

 

사용자 브라우저 취약점을 이용하여 HTTPS 쿠키를 훔쳐 공격하는 BEAST, (Browser Exploit Against SSL/TLS)

HTTPS의 압축에 따른 취약점을 이용해 HTTPS 세션을 가로채는 CRIME attack 이 있습니다.

(Compression Ration Info-Leak Mass Exploitation)

 

SSL/TLS은 다음 네 가지의 프로토콜로 이루어져 있습니다.

 

핸드쉐이크 프로토콜

클라이언트와 서버가 서로 어떤 알고리즘과 공유키를 사용할지 서로에게 공유합니다.

 

Chage cipher spec 프로토콜

암호 방법을 변경할 때, 상대에게 전하기 위한 규칙입이다.

둘 사이에 합의한 암호사양을 적용하자고 상대방에게 알려줍니다.

 

alert 프로토콜

에러 발생 시 상대방에게 알립니다.

 

record 프로토콜

메시지를 압축/암호화 하여 상대방과 통신 합니다.

 

 

정리하면,

IPSec 은 네트워크 계층의 보안을 위해 쓰이고,

SSL/TLS 는 TCP계층과 응용계층 사이에서 쓰이는 종단간 보안서비스입니다.

출처: https://huscarl.tistory.com/33?category=793268